Projet de reglement grand-ducal relatif aux modalites de traitement des donnees a 
caractere personnel par I’Autorite nationale de Securite 

I. Expose des motifs 


Le projet de reglement grand-ducal sous examen a pour objet de reglementer la matiere du 
traitement des donnees a caractere personnel par I’Autorite nationale de Securite. 


En application de Particle 17 paragraphe 1 er point b) de la loi modifiee du 2 aout 2002 relative a 
la protection des personnes a regard du traitement des donnees a caractere personnel 
(denommee ci-apres la « loi du 2 aout 2002 »), les traitements des donnees a caractere 
personnel relatifs a la surete de I’Etat, a la defense et a la securite publique doivent faire I’objet 
d’un reglement grand-ducal. 

Cette situation a ete relevee a maintes reprises, d’une part, par la Commission d’enquete sur le 
Service de renseignement de I’Etat dans son rapport du 5 juillet 2013 1 et, d’autre part, par 
I’Autorite de controle institute par Particle 17 de la loi du 2 aout 2002 dans plusieurs de ses 
rapports annuels en evoquant que « [...] les traitements relatifs a la surete de I’Etat font I’objet 
d’un reglement grand-ducal et qu’un tel reglement fait defaut 2 » 

Un premier projet de reglement grand-ducal a ete approuve par le Conseil de Gouvernement en 
date du 26 juillet 2013. 

Suite au depot du projet de loi n°6961 portant modification 1. de la loi du 15 juin 2004 relative a 
la classification des pieces et aux habilitations de securite et 2. du Code penal a la Chambre des 
deputes en date du 2 mars 2016, il a ete juge opportun de mettre a jour le projet de reglement 
grand-ducal et de I’adapter aux nouvelles dispositions dudit projet de loi pour des raisons de 
coherence juridique et d’efficacite pratique. 


Le projet de loi n°6961 autorise I’Autorite nationale de Securite d’une part a acceder a certaines 
banques de donnees en vue de la collecte de donnees a caractere personnel 3 et d’autre part a 
traiter les informations collectees dans le cadre de ses missions. Conformement aux exigences 
retenues par le legislates en matiere de traitement des donnees a caractere personnel, I’article 
23, paragraphe 1 er de la loi modifiee du 15 juin 2004 relative a la classification des pieces et aux 
habilitations de securite 4 prevoit que le traitement des donnees a caractere personnel collectees 
par I’Autorite nationale de Securite est mis en oeuvre par voie de reglement grand-ducal. 


1 Notamment page 36 du rapport de la Commission d’enquete. 

2 Rapport d’activite 2005-2006, autorite de controle « article 17», page 10. 

3 Article l er , point21 du projet de loi 6961. 

4 Article l er , point 25 du projet de loi 6961. 
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Par consequent, le present projet de reglement grand-ducal a pour objet de fixer les modalites 
de ce traitement des donnees, les categories de donnees collectees, les droits d’acces, la duree 
de conservation des donnees ainsi que les modalites d’archivage et de destruction. 


L’objet premier du projet de reglement grand-ducal est de garantir, conformement aux 
dispositions de la loi modifiee du 2 aout 2002 relative a la protection des personnes a regard du 
traitement des donnees a caractere personnel, une protection adequate des donnees a 
caractere personnel collectees par I’Autorite nationale de Securite dans le cadre de ses 
missions, moyennant la transparence requise et un encadrement plus strict de toutes les etapes 
de la collecte et du traitement des donnees a caractere personnel. 

Le projet sous rubrique vise a concilier les imperatifs de la securite nationale avec ceux de la 
protection des personnes a regard du traitement des donnees a caractere personnel. 

Plus precisement, le present projet de reglement grand-ducal est dicte par les cinq 
considerations principales suivantes : 

1. Respect du principe de necessity. 

Le projet de reglement grand-ducal enonce les donnees a caractere personnel qui peuvent etre 
traitees par I’Autorite nationale de Securite et pour lesquelles il existe un rapport direct avec la 
finalite initiate du traitement, a savoir la realisation des enquetes de securite. Ces donnees ne 
sont done pas uniquement utiles mais elles sont strictement necessaires pour la realisation des 
missions de I’Autorite nationale de Securite telles que definies a I'article 20 de la loi modifiee du 
15 juin 2004 precitee 5 . 

2. Respect du principe de proportionnalite. 

Le projet de reglement grand-ducal precise I’envergure du traitement des donnees a caractere 
personnel en ce que la collecte des donnees sera strictement limitee aux besoins de la mission 
de I’Autorite nationale de Securite. 

3. Conditions d’acces. 

Le projet de reglement grand-ducal fixe les modalites en vue de determiner les agents de 
I’Auto rite nationale de Securite qui sont autorises a enregistrer, a traiter et a modifier les 
donnees a caractere personnel collectees. 

4. Delais de conservation. 

Se conformant aux exigences quant au delai de conservation definies a I’article 4, point d) de la 
loi du 2 aout 2002 disposant que les « donnees sont conservees [...] pendant une duree 
n’excedant pas celle necessaire a la realisation des finalites pour lesquelles elles sont collectees 
et traitees », le present projet de reglement grand-ducal definit de maniere complete et 


3 Article l er , point 21 du projet de loi 6961. 
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transparente les delais de conservation des donnees a caractere personnel, tant dans la partie 
active que dans la partie archives des fichiers de I’Autorite nationale de Securite. 

5. Journalisation. 

Finalement, une attention particuliere a ete portee a la journalisation des acces aux donnees a 
caractere personnel pour un meilleur suivi et controle des consultations ou des traitements 
effectues par les differents agents de I’Autorite nationale de Securite. 
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II. - Texte du projet de reglement grand-ducal 


Nous Henri, Grand-Due de Luxembourg, Ducde Nassau, 

Vu I’article 23 de la loi du 15 juin 2004 relative a la classification des pieces et aux habilitations 
de securite ; 

Vu I’avis de la Commission nationale pour la protection des donnees ; 

Notre Conseil d’Etat entendu ; 

Sur le rapport de notre Premier Ministre, Ministre d’Etat et apres deliberation du Gouvernement 
en Conseil; 


Arretons : 


Chapitre 1 er - Dispositions generates 


Art. 1 er . 

(1) Le present reglement a pour objet de fixer les modalites de traitement par I’Autorite nationale 
de Securite de donnees a caractere personnel dans tous les fichiers de donnees a caractere 
personnel de I’Autorite nationale de Securite tels que definis a I’article 2 (h) de la loi modifiee du 
2 aout 2002 relative a la protection des personnes a regard du traitement des donnees a 
caractere personnel (denommes ci-apres « les fichiers ») en execution de ses missions telles 
que definies a I’article 20 de la loi modifiee du 15 juin 2004 relative a la classification des pieces 
et aux habilitations de securite. 

(2) Le directeur du Service de renseignement de I’Etat, en sa qualite de responsable du 
traitement des donnees au sens de la loi modifiee du 2 aout 2002 relative a la protection des 
personnes a regard du traitement des donnees a caractere personnel, est responsable du 
respect et du controle des modalites de traitement des donnees a caractere personnel au sein 
de I’Autorite nationale de Securite definies dans le present reglement. II peut deleguer, sous sa 
responsabilite, tout ou partie de ses obligations qui lui incombent en vertu du present reglement 
au charge de la protection des donnees vise a I’article 10, paragraphe 3, alinea 2 de la loi du 
jj.mm.aaaa portant reorganisation du Service de renseignement de I’Etat. 


Art. 2. 

(1) II est procede au traitement des donnees a caractere personnel dans le contexte d’une 
enquete de securite exercee lors d’une demande d’habilitation de securite aux termes des 
articles 14 et 15 de la loi modifiee du 15 juin 2004 relative a la classification des pieces et aux 
habilitations de securite et ceci aux seules fins de la protection des pieces classifies 
conformement aux interets vises a I’article 3 de la loi modifiee du 15 juin 2004 relative a la 
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classification des pieces et aux habilitations de securite et a i’article 3, paragraphe 1 er de la loi 
du jj.mm.aaaa portant reorganisation du Service de renseignement de I’Etat ou lors d’une 
enquete de securite demandee par des organisations internationales ou des services de 
securite etrangers conformement a i’article 20, 8 e tiret de la loi modifiee du 15 juin 2004 relative 
a la classification des pieces et aux habilitations de securite. 

(2) Les donnees a caractere personnel traitees par I’Autorite nationale de Securite dans le 
contexte d’une demande d’habilitation de securite par un ressortissant etranger occupant au 
Luxembourg un emploi necessitant I’acces a des informations classifies, sont soumises aux 
memes regies de protection definies dans le present reglement pour les donnees a caractere 
personnel traitees dans le contexte d’une enquete de securite exercee lors d’une demande 
d’habilitation de securite aux termes des articles 14 et 15 de la loi modifiee du 15 juin 2004 
relative a la classification des pieces et aux habilitations de securite. 


Chapitre 2 - De la partie active 


Art. 3. 

Les donnees a caractere personnel relatives aux elements enumeres a I’article 24bis de la loi 

modifiee du 15 juin 2004 relative a la classification des pieces et aux habilitations de securite 

peuvent faire I’objet d’un traitement dans la partie active. 

Art. 4. 

Les donnees a caractere personnel traitees dans la partie active sont transferees dans la partie 

archives apres I’ecoulement des delais suivants: 

a) trois mois apres la decision finale d’oetroi ou de renouvellement de I’habilitation de 
securite du Premier ministre, ministre d’Etat; 

b) un mois apres la communication des donnees aux organisations internationales ou des 
services de securite etrangers dans le cadre d’une enquete de securite au sens de 
I’article 20, 8 e tiret de la loi modifiee du 15 juin 2004 relative a la classification des pieces 
et aux habilitations de securite ; 

c) six mois apres la decision finale du Premier ministre, ministre d’Etat, de refus ou de 
retrait de I’habilitation de securite, renouvelable une fois en cas de recours en annulation 
contre la decision de refus ou de retrait; 

d) trois mois apres le retrait par le demandeur d’habilitation de sa demande. 

Chapitre 3 - De la partie archives 

Art. 5. 
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La partie archives est destinee a recueiliir des donnees a caractere personnel a des fins de 
controle interne et de statistiques, de complements d’enquete en cas de renouvellement d’une 
habilitation de securite, de retragage dans I’interet d’enquetes ou de recherches futures ainsi 
que dans I’interet de I’article 13 de la loi modifiee du 15 juin 2004 relative a la classification des 
pieces et aux habilitations de securite. 

Art. 6. 

(1) Les donnees a caractere personnel peuvent etre conservees dans la partie archives pendant 
les delais suivants : 

a) En cas de delivrance d’une habilitation de securite, les donnees a caractere personnel 
relatives au dossier sont conservees pendant la duree de validite de I’habilitation de 
securite aux termes de I’article 17 de la loi modifiee du 15 juin 2004 relative a la 
classification des pieces et aux habilitations de securite. 

b) Sans prejudice d’une demande de renouvellement de I’habilitation, les donnees a 
caractere personnel seront effacees de la partie archives apres I’expiration de la duree 
de validite de I’habilitation de securite. 

c) En cas de renouvellement de I’habilitation de securite, la duree de conservation des 
donnees a caractere personnel relatifs au dossier va etre prolongee de la duree de 
validite de I’habilitation renouvelee aux termes de I’article 17 de la loi modifiee du 15 juin 
2004 relative a la classification des pieces et aux habilitations de securite. 

d) En cas de refus ou de retrait d’une habilitation de securite, les donnees a caractere 
personnel seront effacees de la partie archives apres I’ecoulement d’un delai de six mois 
suivant la decision de refus ou de retrait ou apres I’ecoulement d’un delai de cinq ans 
apres que le candidat a cesse son activite requerant 1‘acces a des pieces classifies. 
Lors d’un recours en annulation contre la decision de refus ou de retrait, les delais 
precites ne courent qu’a partir de la date ou la decision de justice relative au recours a 
acquis force de chose jugee. 

e) Les donnees a caractere personnel recueillies dans le cadre des enquetes de securite 
effectuees conformement a Particle 20, 8 e tiret de la loi modifiee du 15 juin 2004 relative a 
la classification des pieces et aux habilitations de securite sont effacees de la partie 
archives apres I’ecoulement d’un delai de dix ans. 

(2) Sur demande ecrite de I’agent en charge du dossier, le responsable du traitement ou son 
delegue en application de I’article 1 er peut decider de retransferer des donnees a caractere 
personnel archivees vers la partie active lorsqu’elles se rapportent a une personne qui fait I’objet 
d’une nouvelle enquete de securite ou qui a un lien direct avec une enquete de securite 
determinee. 

(3) Apres I’expiration des delais mentionnes au paragraphe 1, et en I’absence d’un retransfert 
des donnees a caractere personnel vers la partie active en application du paragraphe 2, les 
donnees a caractere personnel sont effacees dans I’annee courante. 
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Apres I’effacement des donnees a caractere personnel de la partie archives et dans un but de 
retragage et de protection des preuves dans I’interet de I’article 13 de la loi modifiee du 15 juin 
2004 relative a la classification des pieces et aux habilitations de securite, la fiche succincte 
visee a I’article 23, paragraphe 3 alinea 2 de la loi modifiee du 15 juin 2004 relative a la 
classification des pieces et aux habilitations de securite sera conservee dans la partie archives 
pendant un delai de cinq ans. 


Chapitre 4 - Des acces aux fichiers 


Art. 7. 

Le directeur du Service de renseignement de I’Etat decide de I’octroi, du refus et du retrait d’une 
autorisation d’acces a la partie active des agents de I’Autorite nationale de Securite nommement 
designes par lui en fonction de leurs attributions. 

Art. 8. 

(1) Sur demande ecrite d’un agent de I’Autorite nationale de Securite, le responsable du 
traitement ou son delegue peut delivrer une autorisation ecrite d’acces ponctuel a la partie 
archives ou a la fiche succincte definie a I’article 23, paragraphe 3, alinea 2 de la loi modifiee du 
15 juin 2004 relative a la classification des pieces et aux habilitations de securite. L’agent de 
I’Autorite nationale de Securite autorise a acceder a la partie archives ou a la fiche succincte 
precitee est habilite a consuiter uniquement le contenu vise dans I’autorisation precitee. 

(2) Lors de chaque acces a la partie archives ou a la fiche succincte precitee, les donnees de 
journalisation telles que definies a I’article 9 sont enregistrees et traitees selon la procedure y 
prevue. Le charge de la protection des donnees veillera a conserver toute autorisation de 
consultation delivree aux personnes visees au paragraphe 1 er pendant la duree de conservation 
des donnees de journalisation elles-memes. 


Art. 9. 

(1) Lors de chaque traitement de donnees a caractere personnel dans la partie active et dans la 
partie archives et lors de chaque traitement de donnees a caractere personnel inscrites dans la 
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fiche succincte precitee, les informations relatives a I’agent de I’Autorite nationale de Securite 
ayant precede au traitement, le motif de I’acces, ainsi que la date et I’heure du traitement 
doivent etre enregistres. 

(2) Les donnees de journalisation sont a effacer apres un delai de trois ans apres leur premier 
enregistrement, sauf lorsqu’elles font I’objet d’une procedure de controle. Dans ce cas, elles 
peuvent etre conservees au-dela du delai de trois ans jusqu’a la cloture definitive de cette 
procedure. 


Chapitre 5 - Dispositions finales 


Art. 10. 

Le present reglement entre en vigueur le premier jour du troisieme mois qui suit I’entree en 
vigueurde la loi [...]. 


Art. 11. 

Notre Premier ministre, ministre d’Etat, est charge de I’execution du present reglement qui sera 
publie au Memorial. 



III. Commentaire des articles 

Ad article 1 er 

Conformement a I’article 17 de la loi modifiee du 2 aout 2002 relative a la protection des 
personnes a I’egard du traitement des donnees a caractere personnel (denommee ci-apres la 
« loi du 2 aout 2002 ») auquel se refere I’article 23, paragraphe 1 er de la loi modifiee du 15 juin 
2004 relative a la classification des pieces et aux habilitations de securite (denommee ci-apres 
la « loi ANS »), le traitement des informations collectees dans le cadre de la mission de I’Autorite 
nationale de Securite doit faire I’objet d’un reglement grand-ducal. 

Le paragraphe 1 er du present article precise I’objet du projet de reglement grand-ducal, a savoir 
la definition des modalites de traitement des donnees a caractere personnel dans tous les 
fichiers de donnees a caractere personnel de I’Autorite nationale de Securite. Les fichiers dont 
question ci-dessus visent « tout ensemble structure de donnees accessibles selon des criteres 
determines, que cet ensemble soit centralise, decentralise ou reparti de maniere fonctionnelle 
ou geographique » tel que prevu a Particle 2 point h) de la loi du 2 aoOt 2002. 

Le paragraphe 2 de I’article 1 er precede a la designation du responsable du traitement. 

Eu egard a la multitude des taches qui incombent au responsable du traitement en execution 
des articles 22 et 23 de la loi du 2 aoOt 2002, ce paragraphe prevoit la possibility de deleguer 
ces taches au charge de la protection des donnees prevu a I’article 10, paragraphe 3, alinea 2 
de la loi du jj.mm.aaaa portant reorganisation du Service de renseignement de I’Etat. Cette 
faculte de delegation ne modifie pas la responsabilite a assumer par le responsable du 
traitement lui-meme pour les mesures prises par son delegue. 

Ad article 2 

L’article 2 vise a repondre aux exigences de Particle 4, paragraphe 1 er , point a) de la loi du 2 
aout 2002 en ce qu’il dispose que les donnees a caractere personnel doivent etre « collectees 
pour des finalites determinees, explicites et legitimes ». 

L’article 2 enonce ainsi les finalites pour lesquelles les donnees a caractere personnel sont 
traitees dans les fichiers de I’Autorite nationale de Securite. Plus precisement, le traitement des 
donnees a caractere personnel ne pourra etre realise que dans les cas legalement prevus a 
Particle 20 de la loi ANS, c’est-a-dire dans le cadre de Pexercice des missions de I’Autorite 
nationale de Securite. 

In concreto, la collecte des donnees a caractere personnel dans les fichiers de I’Autorite 
nationale de Securite est destinee a servir exclusivement dans le contexte des enquetes de 
securite visees a la loi ANS. 
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Ad article 3 


Cet article enumere les differentes donnees a caractere personnel pouvant etre igitimement 
traitees par I’Autorite nationale de Securite. 

L’article 3 se refere a I’article 24bis de la loi ANS qui dresse une liste exhaustive des criteres de 
I’enquete de securite a prendre en compte afin d’evaluer la loyaute, I’integrite, la fiabilite et la 
discretion des requerants. 

La collecte de ces donnees est necessaire a I’Autorite nationale de Securite, eu egard a la 
nature et les missions propres de I’Autorite nationale de Securite, appelee a faire face, dans une 
perspective preventive de protection de la securite nationale a des menaces de compromission 
d’informations classifies, par action, omission ou par negligence. 

II est important de mettre en evidence egalement que I’Autorite nationale de Securite delivre des 
habilitations de securite UE et OTAN qui permettent aux personnes habilitees d’acceder aux 
informations classifies par ces organisations. Force est de constater dans ce contexte que le 
Conseil de I’Union europeenne et I’OTAN autorisent, dans le cadre de ces demandes 
d’habilitation europeennes et internationales, la collecte des memes donnees a caractere 
personnel que celles prevues par le present projet de regiment. 

Afin de permettre au Luxembourg d’offrir les memes garanties de protection des pieces 
classifies que les organisations europeennes et internationales en delivrant des habilitations de 
securite d’origine luxembourgeoise et dans un souci de coherence et d’equivalence, il est 
important de collecter et de traiter le meme type de donnees a caractere personnel. 

De la meme maniere, le Luxembourg, au titre des accords de securite qu’il a conclu ou autres 
traites et conventions internationales, est tenu de garantir, a charge de reciprocity, la protection 
des pieces classifies qui lui sont transmises par les Etats partis. Dans un but d’amelioration des 
echanges et du partage avec les autorites partenaires, le Luxembourg est ainsi soucieux de se 
doter de regies similaires a celles de nos pays voisins et done de collecter les donnees 
analogues, necessaires a une enquete de securite complete et realiste, c.a.d. apte a obtenir is 
informations necessaires pour une appreciation juste des criteres de garanties exigees par la loi 
ANS. 

Ad article 4 

L’article 4 prevoit is principes de conservation et, par consequent, les delais de conservation 
des donnees a caractere personnel dans la partie active des fichiers. Apres I’ecoulement de ces 
delais, les documents contenant ces donnees a caractere personnel sont obligatoirement 
archives. 

Ces delais de conservation ont ete definis en conciliant I’imperatif de la protection des interets 
fondamentaux de I’Etat avec la protection de la vie privee du candidat, de sorte qu’ils n’excedent 
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pas la duree necessaire a la realisation des finalites pour lesquelles les donnees sont collectees 
et traitees. 

Ad article 5 

L’article 5 prevoit les differents cas de figure et finalites pour lesquels les donnees personnels 
collectees par I’Autorite nationale de Securite sont archivees. 

Ces cas de figure concernent notamment: 

- Le controle interne: 

Lors de I’avenement d’un incident de securite ou de compromission, I’Autorite nationale de 
Securite doit etre en mesure de realiser des controles afin de verifier si la personne suspectee 
de I’incident ou de la compromission detenait une habilitation de securite et, le cas echeant, elle 
devra verifier le contenu de I’enquete de securite qui a ete realisee a I’epoque en vue 
d’eventuelles anomalies ou incoherences. 

En plus, I’Autorite nationale de Securite devra assister I’officier de securite de I’entite concernee 
dans la realisation de I’enquete visee a I’article 13 de la loi ANS. 

- Les besoins de complements d’enquete: 

Lorsqu’une enquete de securite sera realisee en vue du renouvellement d’une habilitation de 
securite au sens de I’article 17 de la loi ANS ou bien lors de la realisation d’une nouvelle 
enquete de securite dans le cadre de I’article 21 bis, paragraphe 2 de la loi ANS, I’enqueteur en 
charge du dossier verifie tout changement eventuel des donnees face aux elements de 
I’enquete precedente. 

Ad article 6 

L’article 6 precise les suites qui pourront etre reservees aux donnees a caractere personnel qui 
figurent dans la partie archives. 

a) Les donnees personnels du dossier d’habilitation de securite seront conservees pendant 
toute la duree de vie de I’habilitation de securite. Cette duree de conservation est justifiee 
pour des raisons de responsabilite et d’imputabilite. 

En effet, lorsqu’un incident de securite ou une compromission de pieces classifies se produit, 
au niveau national ou bien au niveau international, I’Autorite nationale de Securite devra etre en 
mesure d’y repondre et elle devra assister I’officier de securite lors de son enquete visee a 
I’article 13 de la loi ANS. Si les donnees avaient ete effacees, I’enquete relative a la 
compromission ou a I’incident ne serait que difficilement realisable en I’absence de toute preuve 
ecrite. 
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Pourtant, I’Autorite nationale de Securite devra demontrer qu’une habilitation de securite a ete 
delivree et, le cas echeant, les elements d’enquete de I’epoque devront etre analyses et 
controles. 

b) et c) En cas de renouvellement d’une habilitation de securite, la duree de conservation du 
dossier recommencera a courir a partir de la date de renouvellement de I’habilitation et ceci pour 
les memes raisons que celles exposees sous le point precedent. 

Lorsque I’habilitation de securite ne sera pas renouvelee, les donnees seront evidemment 
effacees conformement au paragraphe 3. 

d) Les delais de conservation des donnees personnels en cas de refus ou de retrait d’une 
habilitation de securite sont les memes que ceux qui etaient anterieurement prevus a Particle 23 
de la ioi du 15 juin 2004 relative a la classification des pieces et aux habilitations de securite. 

Le projet de reglement precise de surcroTt qu’en cas de recours devant le tribunal administratif, 
les delais de conservation pre-mentionnes ne courent qu’a partir de la decision de justice et ceci 
pour des raisons de conservation des preuves legates. 

e) Afin d’aligner la legislation luxembourgeoise a celle de nos services partenaires, les donnees 
personnelles collectees dans le cadre des enquetes de securite demandees par les 
organisations internationales ou les services partenaires seront conservees pendant un delai 
fixe de dix ans, delai non renouvelable. 

Le paragraphe 2 prevoit dans des cas exceptionnels la possibility d’un retransfert du dossier 
d’habilitation de la partie archives a la partie active apres autorisation ecrite du responsable du 
traitement ou son delegue en application de Particle 1 er . Tel pourrait par exemple etre le cas 
dans I’hypothese developpee a Particle 21 bis, paragraphe 2 de la Ioi ANS, c.a.d. lorsque 
I’Autorite nationale de Securite a pris connaissance d’elements « suggerant que le titulaire d’une 
habilitation n’offre plus les garanties visees a /’article 15 paragraphe 2 » et qu’elle devra relancer 
a sa propre initiative une nouvelle enquete de securite sur cette personne, ou bien le cas d’un 
renouvellement d’une habilitation de securite au sens de Particle 17 de la Ioi ANS. 

Lorsque les delais de conservation a la partie archives ont expire, le dossier integral, a 
I’exception de la fiche visee a Particle 23 paragraphe 3 de la Ioi ANS, sera efface. 

Selon le paragraphe 3, cette fiche ne sera pas effacee avec le dossier y afferent, mais elle sera 
desormais archivee pendant un delai de cinq ans. A I’expiration du delai de cinq ans, la fiche 
sera egalement effacee. 

Ce delai de cinq ans se justifie pour des raisons de preuve legale. En effet, I’experience a 
montre a I’Autorite nationale de Securite que des incidents de securite ou des compromissions 
ne peuvent apparaTtre que plusieurs annees plus tard et que dans ces cas-la, I’Autorite nationale 
de Securite devra toujours etre en mesure de repondre a I’enquete realisee a cette fin et, le cas 
echeant, dans le cadre d’un recours administratif. 
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Ad article 7 


L’article 7 confere au directeur du Service de renseignement de I’Etat le droit d’octroyer, de 
refuser ou de retirer une autorisation d’acces a la partie active des fichiers aux agents de 
I’Autorite nationale de Securite designes a cette fin. 

Les agents de I’Autorite nationale de Securite qui ne sont pas nommement designes par le 
directeur n’ont aucun droit d’acces aux fichiers respectifs. 

Ad article 8 

L’article 8 reglemente les conditions et les modalites d’acces a la partie archives ou a la fiche 
succincte. 

Conformement au paragraphe 1 er de Particle 8, les agents de I’Autorite nationale de Securite 
peuvent acceder a la partie archives de fagon : 

- limitee : 

Les agents de PAutorite nationale de Securite peuvent acceder a la partie archives 
seulement apres autorisation ponctuelle du responsable du traitement ou de son delegue. 
En outre, ils ne peuvent acceder qu’aux seules donnees pour lesquelles ils ont formule une 
demande motivee. 

- controlee : 

L’acces est garanti uniquement apres autorisation prealable du responsable du traitement ou 
de son delegue, qui opere done un controle de la demande d’acces et qui apprecie la 
motivation et la necessity d’acces. 

- securisee : 

L’agent de PAutorite nationale de Securite ne peut acceder qu’aux seules donnees visees 
par I’autorisation du responsable du traitement ou de son delegue. 

Le paragraphe 2 reglemente la journalisation stricte de chaque consultation des donnees 
archivees au sens des regies prevues a Particle 9 du present projet de reglement grand-ducal. 

Ad article 9 

Le paragraphe 1 er de Particle 9 precise les regies de journalisation applicables a chaque 
traitement de donnees a caractere personnel dans la partie active ou la partie archives. II est 
entendu que cette journalisation concerne, en vertu de la definition du traitement par Particle 2 
point r) de la loi du 2 aout 2002, notamment la collecte de donnees, I’ajout de donnees 
supplementaires, la modification de donnees, la suppression de donnees, mais egalement le 
simple acces aux donnees. 

La journalisation du traitement des donnees fait partie des standards internationalement admis 
en matiere de protection des personnes a I’egard du traitement des donnees a caractere 
personnel. Elle est indispensable a une verification precise et detaillee des dispositions relatives 
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au traitement des donnees, alors qu’elle permet de retracer a posteriori les tenants et 
aboutissants relatifs a chaque consultation de donnees. 

A cet effet, les donnees de journalisation ne peuvent etre effacees qu’apres I’ecoulement d’un 
delai approprie defini au paragraphe 2. 

Ad article 10 

Cet article prevoit la date de publication du reglement. 

Pour des raisons d’ordre pratique et de mise en oeuvre des mesures definies au present projet 
de reglement grand-ducal, il a ete juge plus realiste de prevoir une entree en vigueur differee du 
reglement. 


Ad article 11 

Le dernier article prevoit la formule executoire d’usage en la matiere. 
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Projet de reglement grand-ducal relatif aux modalites de traitement des donnees a 
caractere personnel par I’Autorite nationale de Securite 


I. Expose des motifs 


Le projet de reglement grand-ducal sous examen a pour objet de reglementer la matiere du 
traitement des donnees a caractere personnel par I’Autorite nationale de Securite. 


En application de I’article 17 paragraphe 1 er point b) de la loi modifiee du 2 aout 2002 relative a 
la protection des personnes a regard du traitement des donnees a caractere personnel 
(denommee ci-apres la « loi du 2 aout 2002 »), les traitements des donnees a caractere 
personnel relatifs a la surete de I’Etat, a la defense et a la securite publique doivent faire I’objet 
d’un reglement grand-ducal. 

Cette situation a ete relevee a maintes reprises, d’une part, par la Commission d’enquete sur le 
Service de renseignement de I’Etat dans son rapport du 5 juillet 2013 1 et, d’autre part, par 
I’Autorite de controle institute par (’article 17 de la loi du 2 aout 2002 dans plusieurs de ses 
rapports annuels en evoquant que « [...] les traitements relatifs a la surete de I’Etat font I’objet 
d’un reglement grand-ducal et qu’un tel reglement fait defaut 2 » 

Un premier projet de reglement grand-ducal a ete approuve par le Conseil de Gouvernement en 
date du 26 juillet 2013. 

Suite au depot du projet de loi n°6961 portant modification 1. de la loi du 15 juin 2004 relative a 
la classification des pieces et aux habilitations de securite et 2. du Code penal a la Chambre des 
deputes en date du 2 mars 2016, il a ete juge opportun de mettre a jour le projet de reglement 
grand-ducal et de I’adapter aux nouvelles dispositions dudit projet de loi pour des raisons de 
coherence juridique et d’efficacite pratique. 


Le projet de loi n°6961 autorise I’Autorite nationale de Securite d’une part a acceder a certaines 
banques de donnees en vue de la collecte de donnees a caractere personnel 3 et d’autre part a 
traiter les informations collectees dans le cadre de ses missions. Conformement aux exigences 
retenues par le legislateur en matiere de traitement des donnees a caractere personnel, I’article 
23, paragraphe 1 er de la loi modifiee du 15 juin 2004 relative a la classification des pieces et aux 
habilitations de securite 4 prevoit que le traitement des donnees a caractere personnel collectees 
par I’Autorite nationale de Securite est mis en oeuvre par voie de reglement grand-ducal. 


1 Notamment page 36 du rapport de la Commission d’enquete. 

2 Rapport d’activite 2005-2006, autorite de controle « article 17», page 10. 

3 Article l er , point21 du projet de loi 6961. 

4 Article l er , point 25 du projet de loi 6961. 
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Par consequent, ie present projet de reglement grand-ducal a pour objet de fixer les modalites 
de ce traitement des donnees, les categories de donnees collectees, les droits d’acces, la duree 
de conservation des donnees ainsi que les modalites d’archivage et de destruction. 


L’objet premier du projet de reglement grand-ducal est de garantir, conformement aux 
dispositions de la loi modifiee du 2 aout 2002 relative a la protection des personnes a regard du 
traitement des donnees a caractere personnel, une protection adequate des donnees a 
caractere personnel collectees par I’Autorite nationale de Securite dans le cadre de ses 
missions, moyennant la transparence requise et un encadrement plus strict de toutes les etapes 
de la collecte et du traitement des donnees a caractere personnel. 

Le projet sous rubrique vise a concilier les imperatifs de la securite nationale avec ceux de la 
protection des personnes a regard du traitement des donnees a caractere personnel. 

Plus precisement, le present projet de reglement grand-ducal est dicte par les cinq 
considerations principals suivantes : 

1. Respect du principe de necessity. 

Le projet de reglement grand-ducal enonce les donnees a caractere personnel qui peuvent etre 
traitees par lAutorite nationale de Securite et pour lesquelles il existe un rapport direct avec la 
finalite initiate du traitement, a savoir la realisation des enquetes de securite. Ces donnees ne 
sont done pas uniquement utiles mais elies sont strictement necessaires pour la realisation des 
missions de lAutorite nationale de Securite telles que definies a I’article 20 de la loi modifiee du 
15 juin 2004 precitee 5 . 

2. Respect du principe de proportionnalite. 

Le projet de reglement grand-ducal precise i’envergure du traitement des donnees a caractere 
personnel en ce que la collecte des donnees sera strictement limitee aux besoins de la mission 
de lAutorite nationale de Securite. 

3. Conditions d’acces. 

Le projet de reglement grand-ducal fixe les modalites en vue de determiner les agents de 
lAutorite nationale de Securite qui sont autorises a enregistrer, a traiter et a modifier les 
donnees a caractere personnel collectees. 

4. Delais de conservation. 

Se conformant aux exigences quant au delai de conservation definies a I’article 4, point d) de la 
loi du 2 aout 2002 disposant que les « donnees sont conservees [...] pendant une duree 
n’excedant pas celle necessaire a la realisation des finalites pour lesquelles elies sont collectees 
et traitees », le present projet de reglement grand-ducal definit de maniere complete et 


5 Article l er , point 21 du projet de loi 6961. 
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transparente les delais de conservation des donnees a caractere personnel, tant dans la partie 
active que dans la partie archives des fichiers de I’Autorite nationale de Securite. 

5. Journalisation. 

Finalement, une attention particuliere a ete portee a la journalisation des acces aux donnees a 
caractere personnel pour un meilleur suivi et controle des consultations ou des traitements 
effectues par les differents agents de I’Autorite nationale de Securite. 
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II. - Texte du projet de reglement grand-ducal 


Nous Henri, Grand-Due de Luxembourg, Due de Nassau, 

Vu I’article 23 de la loi du 15 juin 2004 relative a la classification des pieces et aux habilitations 
de securite ; 

Vu I’avis de la Commission nationale pour la protection des donnees ; 

Notre Conseil d’Etat entendu ; 

Sur le rapport de notre Premier Ministre, Ministre d’Etat et apres deliberation du Gouvernement 
en Conseil; 


Arretons : 


Chapitre 1 er - Dispositions generates 


Art. 1 er . 

(1) Le present reglement a pour objet de fixer les modalites de traitement par I’Autorite nationale 
de Securite de donnees a caractere personnel dans tous les fichiers de donnees a caractere 
personnel de I’Autorite nationale de Securite tels que definis a I’article 2 (h) de la loi modifiee du 
2 aout 2002 relative a la protection des personnes a regard du traitement des donnees a 
caractere personnel (denommes ci-apres « les fichiers ») en execution de ses missions telles 
que definies a I’article 20 de la loi modifiee du 15 juin 2004 relative a la classification des pieces 
et aux habilitations de securite. 

(2) Le directeur du Service de renseignement de I’Etat, en sa qualite de responsable du 
traitement des donnees au sens de la loi modifiee du 2 aout 2002 relative a la protection des 
personnes a i’egard du traitement des donnees a caractere personnel, est responsable du 
respect et du controle des modalites de traitement des donnees a caractere personnel au sein 
de I’Autorite nationale de Securite definies dans le present reglement. II peut deleguer, sous sa 
responsabilite, tout ou partie de ses obligations qui lui incombent en vertu du present reglement 
au charge de la protection des donnees vise a I’article 10, paragraphe 3, alinea 2 de la loi du 
jj.mm.aaaa portant reorganisation du Service de renseignement de I’Etat. 


Art. 2. 

(1) II est procede au traitement des donnees a caractere personnel dans le contexte d’une 
enquete de securite exercee lors d’une demande d’habilitation de securite aux termes des 
articles 14 et 15 de la loi modifiee du 15 juin 2004 relative a la classification des pieces et aux 
habilitations de securite et ceci aux seules fins de la protection des pieces classifies 
conformement aux interets vises a I’article 3 de la loi modifiee du 15 juin 2004 relative a la 
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classification des pieces et aux habilitations de securite et a I’article 3, paragraphe 1 er de la loi 
du jj.mm.aaaa portant reorganisation du Service de renseignement de I’Etat ou lors d’une 
enquete de securite demandee par des organisations internationales ou des services de 
securite etrangers conformement a I’article 20, 8 e tiret de la loi modifiee du 15 juin 2004 relative 
a la classification des pieces et aux habilitations de securite. 

(2) Les donnees a caractere personnel traitees par I’Autorite nationale de Securite dans le 
contexte d’une demande d’habilitation de securite par un ressortissant etranger occupant au 
Luxembourg un emploi necessitant I’acces a des informations classifies, sont soumises aux 
memes regies de protection definies dans le present reglement pour les donnees a caractere 
personnel traitees dans le contexte d’une enquete de securite exercee lors d’une demande 
d’habilitation de securite aux termes des articles 14 et 15 de la loi modifiee du 15 juin 2004 
relative a la classification des pieces et aux habilitations de securite. 


Chapitre 2 - De la partie active 


Art. 3. 

Les donnees a caractere personnel relatives aux elements enumeres a I’article 24bis de la loi 

modifiee du 15 juin 2004 relative a la classification des pieces et aux habilitations de securite 

peuvent faire I’objet d’un traitement dans la partie active. 

Art. 4. 

Les donnees a caractere personnel traitees dans la partie active sont transferees dans la partie 

archives apres I’ecoulement des delais suivants: 

a) trois mois apres la decision finale d’octroi ou de renouvellement de I’habilitation de 
securite du Premier ministre, ministre d’Etat; 

b) un mois apres la communication des donnees aux organisations internationales ou des 
services de securite etrangers dans le cadre d’une enquete de securite au sens de 
I’article 20, 8 e tiret de la loi modifiee du 15 juin 2004 relative a la classification des pieces 
et aux habilitations de securite ; 

c) six mois apres la decision finale du Premier ministre, ministre d’Etat, de refus ou de 
retrait de I’habilitation de securite, renouvelable une fois en cas de recours en annulation 
contre la decision de refus ou de retrait; 

d) trois mois apres le retrait par le demandeur d’habilitation de sa demande. 

Chapitre 3 - De la partie archives 

Art. 5. 
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La partie archives est destinee a recueillir des donnees a caractere personnel a des fins de 
controle interne et de statistiques, de complements d’enquete en cas de renouvellement d’une 
habilitation de securite, de retragage dans I’interet d’enquetes ou de recherches futures ainsi 
que dans I’interet de I’article 13 de la loi modifiee du 15 juin 2004 relative a la classification des 
pieces et aux habilitations de securite. 

Art. 6. 

(1) Les donnees a caractere personnel peuvent etre conservees dans la partie archives pendant 
les delais suivants : 

a) En cas de delivrance d’une habilitation de securite, les donnees a caractere personnel 
relatives au dossier sont conservees pendant la duree de validite de I’habilitation de 
securite aux termes de I’article 17 de la loi modifiee du 15 juin 2004 relative a la 
classification des pieces et aux habilitations de securite. 

b) Sans prejudice d’une demande de renouvellement de I’habilitation, les donnees a 
caractere personnel seront effacees de la partie archives apres I’expiration de la duree 
de validite de I’habilitation de securite. 

c) En cas de renouvellement de I’habilitation de securite, la duree de conservation des 
donnees a caractere personnel relatifs au dossier va etre prolongee de la duree de 
validite de I’habilitation renouvelee aux termes de I’article 17 de la loi modifiee du 15 juin 
2004 relative a la classification des pieces et aux habilitations de securite. 

d) En cas de refus ou de retrait d’une habilitation de securite, les donnees a caractere 
personnel seront effacees de la partie archives apres I’ecoulement d’un delai de six mois 
suivant la decision de refus ou de retrait ou apres I’ecoulement d’un delai de cinq ans 
apres que le candidat a cesse son activite requerant 1‘acces a des pieces classifies. 
Lors d’un recours en annulation contre la decision de refus ou de retrait, les delais 
precites ne courent qu’a partir de la date ou la decision de justice relative au recours a 
acquis force de chose jugee. 

e) Les donnees a caractere personnel recueillies dans le cadre des enquetes de securite 
effectuees conformement a I’article 20, 8 e tiret de la loi modifiee du 15 juin 2004 relative a 
la classification des pieces et aux habilitations de securite sont effacees de la partie 
archives apres I’ecoulement d’un delai de dix ans. 

(2) Sur demande ecrite de I’agent en charge du dossier, le responsable du traitement ou son 
delegue en application de I’article 1 er peut decider de retransferer des donnees a caractere 
personnel archivees vers la partie active lorsqu’elles se rapportent a une personne qui fait I’objet 
d’une nouvelle enquete de securite ou qui a un lien direct avec une enquete de securite 
determinee. 

(3) Apres I’expiration des delais mentionnes au paragraphe 1, et en I’absence d’un retransfert 
des donnees a caractere personnel vers la partie active en application du paragraphe 2, les 
donnees a caractere personnel sont effacees dans I’annee courante. 
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Apres I’effacement des donnees a caractere personnel de la partie archives et dans un but de 
retragage et de protection des preuves dans I’interet de I’article 13 de la loi modifiee du 15 juin 
2004 relative a la classification des pieces et aux habilitations de securite, la fiche succincte 
visee a I’article 23, paragraphe 3 alinea 2 de la loi modifiee du 15 juin 2004 relative a la 
classification des pieces et aux habilitations de securite sera conservee dans la partie archives 
pendant un delai de cinq ans. 


Chapitre 4 - Des acces aux fichiers 


Art. 7. 

Le directeur du Service de renseignement de I’Etat decide de I’octroi, du refus et du retrait d’une 
autorisation d’acces a la partie active des agents de I’Autorite nationale de Securite nommement 
designes par lui en fonction de leurs attributions. 

Art. 8. 

(1) Sur demande ecrite d’un agent de I’Autorite nationale de Securite, le responsable du 
traitement ou son delegue peut delivrer une autorisation ecrite d’acces ponctuel a la partie 
archives ou a la fiche succincte definie a I’article 23, paragraphe 3, alinea 2 de la loi modifiee du 
15 juin 2004 relative a la classification des pieces et aux habilitations de securite. L’agent de 
I’Autorite nationale de Securite autorise a acceder a la partie archives ou a la fiche succincte 
precitee est habilite a consulter uniquement le contenu vise dans I’autorisation precitee. 

(2) Lors de chaque acces a la partie archives ou a la fiche succincte precitee, les donnees de 
journalisation telles que definies a I’article 9 sont enregistrees et traitees selon la procedure y 
prevue. Le charge de la protection des donnees veillera a conserver toute autorisation de 
consultation delivree aux personnes visees au paragraphe 1 er pendant la duree de conservation 
des donnees de journalisation elles-memes. 


Art. 9. 

(1) Lors de chaque traitement de donnees a caractere personnel dans la partie active et dans la 
partie archives et lors de chaque traitement de donnees a caractere personnel inscrites dans la 
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fiche succincte precitee, les informations relatives a I’agent de I’Autorite nationale de Securite 
ayant procede au traitement, le motif de Faeces, ainsi que la date et I’heure du traitement 
doivent etre enregistres. 

(2) Les donnees de journalisation sont a effacer apres un delai de trois ans apres leur premier 
enregistrement, sauf lorsqu’elles font I’objet d’une procedure de controle. Dans ce cas, elles 
peuvent etre conservees au-dela du delai de trois ans jusqu’a la cloture definitive de cette 
procedure. 


Chapitre 5 - Dispositions finales 


Art. 10. 

Le present reglement entre en vigueur le premier jour du troisieme mois qui suit Fentree en 
vigueur de la loi [...]. 


Art. 11. 

Notre Premier ministre, ministre d’Etat, est charge de Fexecution du present reglement qui sera 
publie au Memorial. 
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111. Commentaire des articles 

Ad article 1 er 

Conformement a I’article 17 de ia loi modifiee du 2 aout 2002 relative a la protection des 
personnes a regard du traitement des donnees a caractere personnel (denommee ci-apres la 
« loi du 2 aout 2002 ») auquel se refere I’article 23, paragraphe 1 er de la loi modifiee du 15 juin 
2004 relative a la classification des pieces et aux habilitations de security (denommee ci-apres 
la « loi ANS »), le traitement des informations collectees dans le cadre de la mission de I’Autorite 
nationale de Securite doit faire I’objet d’un reglement grand-ducal. 

Le paragraphe 1 er du present article precise I’objet du projet de reglement grand-ducal, a savoir 
la definition des modalites de traitement des donnees a caractere personnel dans tous les 
fichiers de donnees a caractere personnel de I’Autorite nationale de Securite. Les fichiers dont 
question ci-dessus visent « tout ensemble structure de donnees accessibles selon des criteres 
determines, que cet ensemble soit centralise, decentralise ou reparti de maniere fonctionnelle 
ou geographique »tel que prevu a I’article 2 point h) de la loi du 2 aout 2002. 

Le paragraphe 2 de I’article 1 er precede a la designation du responsable du traitement. 

Eu egard a la multitude des taches qui incombent au responsable du traitement en execution 
des articles 22 et 23 de la loi du 2 aout 2002, ce paragraphe prevoit la possibility de deleguer 
ces taches au charge de la protection des donnees prevu a I’article 10, paragraphe 3, alinea 2 
de la loi du jj.mm.aaaa portant reorganisation du Service de renseignement de I’Etat. Cette 
faculte de delegation ne modifie pas ia responsabilite a assumer par le responsable du 
traitement lui-meme pour les mesures prises par son delegue. 

Ad article 2 

L’article 2 vise a repondre aux exigences de I’article 4, paragraphe 1 er , point a) de la loi du 2 
aout 2002 en ce qu’il dispose que les donnees a caractere personnel doivent etre « collectees 
pour des finalites determinees, explicites et legitimes ». 

L’article 2 enonce ainsi les finalites pour lesquelles les donnees a caractere personnel sont 
traitees dans les fichiers de I’Autorite nationale de Securite. Plus precisement, le traitement des 
donnees a caractere personnel ne pourra etre realise que dans les cas legalement prevus a 
1‘article 20 de la loi ANS, c’est-a-dire dans le cadre de I’exercice des missions de I’Autorite 
nationale de Securite. 

In concreto, la collecte des donnees a caractere personnel dans les fichiers de I’Autorite 
nationale de Security est destinee a servir exclusivement dans le contexte des enquetes de 
securite visees a la loi ANS. 
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Ad article 3 


Cet article enumere les differentes donnees a caractere personnel pouvant etre legitimement 
traitees par I’Autorite nationale de Securite. 

L’article 3 se refere a I’article 24bis de la loi ANS qui dresse une liste exhaustive des criteres de 
I’enquete de securite a prendre en compte afin d’evaluer la loyaute, I’integrite, la fiabilite et la 
discretion des requerants. 

La collecte de ces donnees est necessaire a I’Autorite nationale de Securite, eu egard a la 
nature et les missions propres de I’Autorite nationale de Securite, appelee a faire face, dans une 
perspective preventive de protection de la securite nationale a des menaces de compromission 
d’informations classifies, par action, omission ou par negligence. 

II est important de mettre en evidence egalement que I’Autorite nationale de Securite delivre des 
habilitations de securite UE et OTAN qui permettent aux personnes habilitees d’acceder aux 
informations classifies par ces organisations. Force est de constater dans ce contexte que le 
Conseil de I’Union europeenne et I’OTAN autorisent, dans le cadre de ces demandes 
d’habilitation europeennes et internationales, la collecte des memes donnees a caractere 
personnel que celles prevues par le present projet de regiment. 

Afin de permettre au Luxembourg d’offrir les memes garanties de protection des pieces 
classifies que les organisations europeennes et internationales en delivrant des habilitations de 
securite d’origine luxembourgeoise et dans un souci de coherence et d’equivalence, il est 
important de collecter et de traiter le meme type de donnees a caractere personnel. 

De la meme maniere, le Luxembourg, au titre des accords de securite qu’il a conclu ou autres 
traites et conventions internationales, est tenu de garantir, a charge de reciprocite, la protection 
des pieces classifies qui lui sont transmises par les Etats partis. Dans un but d’amelioration des 
echanges et du partage avec les autorites partenaires, le Luxembourg est ainsi soucieux de se 
doter de regies similaires a celles de nos pays voisins et done de collecter les donnees 
analogues, necessaires a une enquete de securite complete et realiste, c.a.d. apte a obtenir les 
informations necessaires pour une appreciation juste des criteres de garanties exigees par la loi 
ANS. 

Ad article 4 

L’article 4 prevoit les principes de conservation et, par consequent, les delais de conservation 
des donnees a caractere personnel dans la partie active des fichiers. Apres I’ecoulement de ces 
delais, les documents contenant ces donnees a caractere personnel sont obligatoirement 
archives. 

Ces delais de conservation ont ete definis en conciliant i’imperatif de la protection des interets 
fondamentaux de I’Etat avec la protection de la vie privee du candidat, de sorte qu’ils n’excedent 
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pas la duree necessaire a la realisation des finalites pour lesquelles les donnees sont collectees 
et traitees. 

Ad article 5 

L’article 5 prevoit les differents cas de figure et finalites pour lesquels les donnees personnels 
collectees par I’Autorite nationale de Securite sont archivees. 

Ces cas de figure concernent notamment; 

- Le controle interne: 

Lors de I’avenement d’un incident de securite ou de compromission, I’Autorite nationale de 
Securite doit etre en mesure de realiser des controles afin de verifier si la personne suspectee 
de I’incident ou de la compromission detenait une habilitation de securite et, le cas echeant, elle 
devra verifier le contenu de I’enquete de securite qui a ete realisee a I’epoque en vue 
d’eventuelles anomalies ou incoherences. 

En plus, I’Autorite nationale de Securite devra assister I’officier de securite de I’entite concernee 
dans la realisation de I’enquete visee a I’article 13 de la loi ANS. 

- Les besoins de complements d’enquete: 

Lorsqu’une enquete de securite sera realisee en vue du renouvellement d’une habilitation de 
securite au sens de I’article 17 de la loi ANS ou bien lors de la realisation d’une nouvelle 
enquete de securite dans le cadre de I’article 21 bis, paragraphe 2 de la loi ANS, I’enqueteur en 
charge du dossier verifie tout changement eventuel des donnees face aux elements de 
I’enquete precedente. 

Ad article 6 

L’article 6 precise les suites qui pourront etre reservees aux donnees a caractere personnel qui 
figurent dans la partie archives. 

a) Les donnees personnels du dossier d’habilitation de securite seront conservees pendant 
toute la duree de vie de I’habilitation de securite. Cette duree de conservation est justifiee 
pour des raisons de responsabilite et d’imputabilite. 

En effet, lorsqu’un incident de securite ou une compromission de pieces classifies se produit, 
au niveau national ou bien au niveau international, I’Autorite nationale de Securite devra etre en 
mesure d’y repondre et elle devra assister I’officier de securite lors de son enquete visee a 
I’article 13 de la loi ANS. Si les donnees avaient ete effacees, I’enquete relative a la 
compromission ou a I’incident ne serait que difficilement realisable en I’absence de toute preuve 
ecrite. 
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Pourtant, I’Autorite nationale de Securite devra demontrer qu’une habilitation de securite a ete 
delivree et, le cas echeant, les elements d’enquete de I’epoque devront etre analyses et 
controles. 

b) et c) En cas de renouvellement d’une habilitation de securite, la duree de conservation du 
dossier recommencera a courir a partir de la date de renouvellement de I’habilitation et ceci pour 
les memes raisons que celles exposees sous le point precedent. 

Lorsque Phabilitation de securite ne sera pas renouvelee, les donnees seront evidemment 
effacees conformement au paragraphe 3. 

d) Les deiais de conservation des donnees personnels en cas de refus ou de retrait d’une 
habilitation de securite sont les memes que ceux qui etaient anterieurement prevus a Particle 23 
de la loi du 15 juin 2004 relative a la classification des pieces et aux habilitations de securite. 

Le projet de reglement precise de surcroit qu'en cas de recours devant le tribunal administratif, 
les deiais de conservation pre-mentionnes ne courent qu’a partir de la decision de justice et ceci 
pour des raisons de conservation des preuves legales. 

e) Afin d’aligner la legislation luxembourgeoise a celle de nos services partenaires, les donnees 
personnels collectees dans le cadre des enquetes de securite demandees par les 
organisations internationales ou les services partenaires seront conservees pendant un delai 
fixe de dix ans, delai non renouvelable. 

Le paragraphe 2 prevoit dans des cas exceptionnels la possibility d’un retransfert du dossier 
d’habilitation de la partie archives a la partie active apres autorisation ecrite du responsable du 
traitement ou son delegue en application de Particle 1 er . Tel pourrait par exemple etre le cas 
dans I’hypothese developpee a Particle 21 bis, paragraphe 2 de la loi ANS, c.a.d. lorsque 
I’Autorite nationale de Securite a pris connaissance d’elements « suggerant que le titulaire d’une 
habilitation n’offre plus les garanties visees a I’article 15 paragraphe 2 » et qu’elle devra relancer 
a sa propre initiative une nouvelle enquete de securite sur cette personne, ou bien le cas d’un 
renouvellement d’une habilitation de securite au sens de I’article 17 de la loi ANS. 

Lorsque les deiais de conservation a la partie archives ont expire, le dossier integral, a 
1’exception de la fiche visee a I’article 23 paragraphe 3 de la loi ANS, sera efface. 

Selon le paragraphe 3, cette fiche ne sera pas effacee avec le dossier y afferent, mais elle sera 
desormais archivee pendant un delai de cinq ans. A I’expiration du delai de cinq ans, la fiche 
sera egalement effacee. 

Ce delai de cinq ans se justifie pour des raisons de preuve legale. En effet, I’experience a 
montre a I’Autorite nationale de Securite que des incidents de securite ou des compromissions 
ne peuvent apparaTtre que plusieurs annees plus tard et que dans ces cas-la, I’Autorite nationale 
de Securite devra toujours etre en mesure de repondre a I’enquete realisee a cette fin et, le cas 
echeant, dans le cadre d’un recours administratif. 
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Ad article 7 


L’article 7 confere au directeur du Service de renseignement de I’Etat le droit d’octroyer, de 
refuser ou de retirer une autorisation d’acces a la partie active des fichiers aux agents de 
I’Autorite nationale de Securite designes a cette fin. 

Les agents de I’Autorite nationale de Securite qui ne sont pas nommement designes par le 
directeur n’ont aucun droit d’acces aux fichiers respectifs. 

Ad article 8 

L’article 8 reglemente les conditions et les modalites d’acces a la partie archives ou a la fiche 
succincte. 

Conformement au paragraphe 1 er de I’article 8, les agents de I’Autorite nationale de Securite 
peuvent acceder a la partie archives de fagon : 

- limitee : 

Les agents de I’Autorite nationale de Securite peuvent acceder a la partie archives 
seulement apres autorisation ponctuelle du responsable du traitement ou de son delegue. 
En outre, ils ne peuvent acceder qu’aux seules donnees pour lesquelies ils ont formule une 
demande motivee. 

- control ee : 

L’acces est garanti uniquement apres autorisation prealable du responsable du traitement ou 
de son delegue, qui opere done un controle de la demande d’acces et qui apprecie la 
motivation et la necessity d’acces. 

- securisee : 

L’agent de I’Autorite nationale de Securite ne peut acceder qu’aux seules donnees visees 
par I’autorisation du responsable du traitement ou de son delegue. 

Le paragraphe 2 reglemente la journalisation stricte de chaque consultation des donnees 
archivees au sens des regies prevues a I’article 9 du present projet de reglement grand-ducal. 

Ad article 9 

Le paragraphe 1 er de I’article 9 precise les regies de journalisation applicables a chaque 
traitement de donnees a caractere personnel dans la partie active ou la partie archives. II est 
entendu que cette journalisation concerne, en vertu de la definition du traitement par I’article 2 
point r) de la loi du 2 aout 2002, notamment la collecte de donnees, I’ajout de donnees 
supplementaires, la modification de donnees, la suppression de donnees, mais egalement le 
simple acces aux donnees. 

La journalisation du traitement des donnees fait partie des standards internationalement admis 
en matiere de protection des personnes a I’egard du traitement des donnees a caractere 
personnel. Elle est indispensable a une verification precise et detaillee des dispositions relatives 
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au traitement des donnees, alors qu’elle permet de retracer a posteriori les tenants et 
aboutissants relatifs a chaque consultation de donnees. 

A cet effet, les donnees de journalisation ne peuvent etre effacees qu’apres I’ecoulement d’un 
delai approprie defini au paragraphe 2. 

Ad article 10 

Cet article prevoit la date de publication du reglement. 

Pour des raisons d’ordre pratique et de mise en oeuvre des mesures definies au present projet 
de reglement grand-ducal, il a ete juge plus realiste de prevoir une entree en vigueur differee du 
reglement. 


Ad article 11 

Le dernier article prevoit la formule executoire d’usage en la matiere. 
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